Zu der Frage, was nach dem Klick auf einen Phishing-Link zu tun ist, gibt es im Deutschen sehr viel Material. Zu der Frage, wie man den Klick von vornherein vermeidet, deutlich weniger — und meist bleibt es bei zwei Ratschlägen: Link vorher prüfen und im Zweifel nicht klicken.
Dieser Text behandelt genau die Lücke dazwischen: woran sich ein gefährlicher Kurzlink erkennen lässt, bevor irgendetwas passiert ist.
Warum sich ein Kurzlink nicht auf den ersten Blick beurteilen lässt
Eine normale Adresse spricht für sich. Domain, Zone, oft auch der Bereich der Website sind sichtbar. Noch vor dem Klick fällt auf, wenn etwas nicht zusammenpasst.
Ein Kurzlink funktioniert umgekehrt. Er zeigt die Domain des Kürzungsdienstes und ein paar zufällige Zeichen, mehr nicht. Das Verbergen des Ziels ist kein Nebeneffekt, sondern folgt unmittelbar aus der Funktionsweise: Der Dienst speichert die Zuordnung von Kurzcode und vollständiger URL bei sich und schickt dem Browser eine HTTP-Weiterleitung. Die Technik dahinter ist in wie funktionieren Link-Verkürzer beschrieben.
Genau diese Eigenschaft macht Kurzlinks für das Marketing nützlich und für Angreifer ebenso.
Die entscheidende Regel: Signale addieren sich
Das ist der wichtigste Gedanke dieses Textes und derjenige, der in Checklisten meist fehlt.
So gut wie keines der folgenden Signale beweist für sich genommen etwas. Eine .xyz-Domain ist kein Vergehen. Bindestriche im Domainnamen sind bei Tausenden legitimer Unternehmen üblich. Eine Domain mit Umlauten ist vollkommen zulässig. Das Wort lieferung steht auch in echten Adressen von Logistikern.
Gefährlich wird es, wenn mehrere schwache Signale auf derselben Adresse zusammentreffen. Eine Domain mit fremder Marke ist bereits ernst. Diese Marke plus billige Zone plus Bindestriche plus Registrierung von vorletzter Woche ist praktisch eine Diagnose.
Suchen Sie also nicht nach dem einen Warnzeichen. Zählen Sie, wie viele zusammenkommen.
Eine Ausnahme gibt es: Die vier Signale der ersten Gruppe genügen jeweils für sich.
Erster Schritt: den Link auflösen, ohne ihn zu öffnen
Solange das Ziel unbekannt ist, gibt es nichts zu bewerten.
Antwort-Header auslesen. Der Kürzungsdienst antwortet mit einer Weiterleitung, und das Ziel steht im Location-Header:
bash curl -sI https://beispiel-kuerzer.de/abc123 | grep -i location
Die Option -I fordert nur die Header an, und ohne -L folgt curl der Weiterleitung nicht weiter. Das ist die zuverlässigste Methode, weil nichts gerendert und kein Skript ausgeführt wird.
Einen Auflösungsdienst verwenden. Es gibt Werkzeuge, die einen Kurzlink entgegennehmen und die Zieladresse zurückgeben, teils mit der gesamten Kette der Zwischenstationen.
Reputationsdatenbanken abfragen. VirusTotal prüft die Adresse mit Dutzenden Engines, Google Safe Browsing zeigt an, ob die Seite auf Googles Liste unsicherer Ressourcen steht.
Dabei sollte man ehrlich sein, was ein sauberes Ergebnis bedeutet: Eine heute registrierte Phishing-Domain steht noch in keiner Datenbank — die meisten werden innerhalb weniger Stunden nach der Registrierung eingesetzt. Eine fehlende Warnung ist fehlende Information, keine Unbedenklichkeitsbescheinigung.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt zusätzlich, die Nachricht selbst kritisch zu prüfen: fehlende persönliche Anrede, Rechtschreibfehler und drohende Formulierungen sind bekannte Warnsignale. Das ergänzt die Adressprüfung, ersetzt sie aber nicht.
Vier Signale, die für sich genügen
1. Ein Schema, das nicht gekürzt werden darf
Die Adresse beginnt mit javascript:, data:, file: oder attachment:.
Dafür gibt es in einem verteilten Link keine legitime Verwendung. javascript: versucht, Code im Kontext der geöffneten Seite auszuführen, und data: bettet den Inhalt direkt in die Adresse ein und umgeht damit jede Domainprüfung — es gibt schlicht keine Domain zu prüfen.
Die üblichen http: und https: sind unproblematisch. Ebenso Anwendungsschemata wie tg:, sms: oder market:, die lediglich eine installierte App öffnen.
2. Zugangsdaten in der Adresse
https://sparkasse.de@evil.top/
Sieht aus wie ein Link zur Sparkasse. Führt zu evil.top.
Alles vor dem @ wertet der Browser als Benutzername und Passwort — dieser Teil der URL ist in RFC 3986 als userinfo-Komponente definiert. Der tatsächliche Host ist das, was nach dem @ steht.
Der Trick ist alt und funktioniert weiterhin, weil der Blick am Anfang der Zeichenkette hängen bleibt. In einem legitimen öffentlichen Link stehen niemals Zugangsdaten.
3. Eine IP-Adresse statt einer Domain
Eine nackte IP hat weder Historie noch Reputation noch einen ermittelbaren Inhaber. Ein echtes Unternehmen hat keinen Grund, ein Anmeldeformular unter einer IP zu veröffentlichen, wenn eine Domain fast nichts kostet und die Grundlage jedes Vertrauens bildet.
4. Der Link zeigt direkt auf eine ausführbare Datei
Endungen wie .exe, .scr, .jar, .ps1 oder .hta am Ende der Adresse.
Hier ist eine Unterscheidung nötig, denn Datei ist nicht gleich Datei. Den eigenen Installer über einen Kurzlink zu verteilen, ist ein normales Szenario, und .apk, .msi oder .dmg eines bekannten Herstellers sind unauffällig. .scr (ein Windows-Bildschirmschoner) und .hta dagegen haben praktisch keine legitime Verwendung mehr — beide Formate finden sich heute fast ausschließlich in Angriffswerkzeugen.
Nachahmung einer bekannten Marke
5. Fremde Marke in der Domain
sparkasse-sicherheit.top dhl-sendungsverfolgung.xyz amazon-lieferstatus.online
Das stärkste mit bloßem Auge lesbare Signal. Die Logik ist einfach: Wenn eine Domain eine Marke aufruft, ihr aber nicht gehört, will jemand, dass Sie beides verwechseln.
Ein verbreiteter Irrtum ist, Phishing lebe nur in billigen Zonen. Domains in .de und .com werden genauso registriert. Eine verdächtige Zone erhöht den Verdacht; eine seriöse nimmt keinen weg.
6. Punycode und Homographen
Die Domain beginnt mit xn--, oder in der Adresszeile stehen Zeichen, die lateinischen Buchstaben ähneln, ohne welche zu sein.
Die kyrillischen Buchstaben а, е, о, р, с sind von den lateinischen a, e, o, p, c optisch nicht zu unterscheiden. Eine Domain, in der ein Buchstabe durch seinen Zwilling aus einem anderen Alphabet ersetzt wurde, sieht exakt aus wie das Original, ist aber eine andere Domain. Kodiert wird daraus eine Zeichenkette, die mit xn-- beginnt.
Punycode selbst ist legitim — darauf beruhen alle Domains mit Umlauten und Sonderzeichen. Bedenklich wird er genau dann, wenn der dekodierte Name eine bekannte Marke nachbildet.
7. Die Form der Domain
sparkasse.de.login.sicher.top dhl-de-sendung-verfolgen-paket.xyz
Die Technik heißt: eine echte Domain in einer fremden vergraben. Im ersten Beispiel ist der tatsächliche Host top; sparkasse.de ist lediglich Teil einer Subdomain. Browser lesen Domains von rechts nach links, Menschen von links nach rechts — auf dieser Differenz beruht der gesamte Trick.
Die Form selbst ist das Signal: zu viele Verschachtelungsebenen, zu viele Bindestriche, ein unnatürlich langer Name. Sie müssen die Marke nicht kennen, damit die Form auffällt.
Suchen Sie die letzten beiden Bestandteile vor dem ersten einzelnen Schrägstrich. Das ist die echte Domain. Alles links davon ist Dekoration.
Anzeichen einer Wegwerf-Domain
Diese Gruppe beantwortet eine Frage: Wurde die Domain für ein echtes Projekt registriert oder für eine Kampagne massenhaft erzeugt?
8. Eine Kennnummer im Namen
id-12345.top bestellung_987.de track123.xyz
Solche Namen werden automatisch erzeugt, oft einer pro Opfer. Ein legitimes Unternehmen will einen einprägsamen Namen, keine laufende Nummer.
9. Eine Domain nur aus Ziffern
Hier kommt es auf die Länge an, und das ist keine Spitzfindigkeit. Kurze numerische Domains können legitim und sehr groß sein: 163.com, 126.com, 58.com und 4399.com sind bedeutende chinesische Dienste.
Einen zehnstelligen Namen wie 8729130461.top registriert dagegen niemand von Hand. Solche Adressen entstehen im Stapel.
10. Die Domain-Zone
Zonen unterscheiden sich in Preis und Zugangshürde, und das schlägt sich in Missbrauchsstatistiken nieder. Wo die Registrierung Centbeträge kostet und keine Prüfung verlangt, wird massenhaft registriert.
Man sollte es damit nicht übertreiben. Die kommerziellen Massenzonen — .shop, .online, .store, .info — sind die Zonen ganz normaler Onlineshops, und sie mit .cfd in einen Topf zu werfen, erzeugt fortlaufend Fehlalarme. Die Zone entscheidet für sich genommen nichts; sie hat nur im Verbund Gewicht.
11. Kostenloses Hosting und Baukästen
*.pages.dev *.web.app *.ngrok-free.app
Die Second-Level-Domain gehört hier der Plattform und wird von allen Nutzern geteilt. Ihre Reputation sagt nichts über die konkrete Subdomain aus, und eine gesperrte Subdomain durch eine neue zu ersetzen, kostet nichts.
Auf diesen Plattformen liegen sehr viele normale Projekte. Öffnet sich unter einer solchen Adresse aber das Anmeldeformular einer Bank, ist es nicht die Bank.
Kontext
12. Eine Kette von Kürzungsdiensten
Sie haben den Kurzlink aufgelöst und wieder einen Kurzlink erhalten.
Es gibt kaum legitime Gründe, sie zu verketten. Es ist aber ein gängiger Weg, Prüfungen zu umgehen: Der Dienst kontrolliert die Zieldomain, findet einen sauberen Weiterleiter, und die echte Adresse bleibt eine Station weiter verborgen.
Lösen Sie so lange auf, bis eine gewöhnliche Domain erscheint.
13. Ein Köderwort in der Domain
Bestandteile wie sicher-, login-, konto-, zahlung-, lieferung-.
Das schwächste Signal der Liste, und so sollte man es behandeln: lieferung-express.de kann ein echter Logistiker sein. Sein Wert entsteht erst zusammen mit Zone, Form oder Marke.
14. Wie der Link zu Ihnen gelangt ist
Das letzte Signal steht nicht in der Adresse.
Haben Sie diesen Link erwartet? Ist der Absender, wer er zu sein vorgibt? Drängt die Nachricht — Konto wird in einer Stunde gesperrt, Paket beim Zoll zurückgehalten, Gewinn verfällt heute? Kam sie als Direktnachricht von einem unbekannten Konto oder als Kommentar unter einem fremden Beitrag?
Dringlichkeit in Verbindung mit einem Kurzlink ist ein beständiges Muster. Die Eile besteht genau deshalb, damit Sie alles Vorstehende überspringen.
Übersicht
| Gruppe | Signal | Gewicht |
|---|---|---|
| Eindeutig | Schema javascript:, data:, file: | Eines genügt |
| Eindeutig | Zugangsdaten vor @ | Eines genügt |
| Eindeutig | IP statt Domain | Eines genügt |
| Eindeutig | Ausführbare Datei (.scr, .hta) | Eines genügt |
| Markenmissbrauch | Fremde Marke in der Domain | Hoch |
| Markenmissbrauch | Punycode mit Marke | Hoch im Verbund |
| Markenmissbrauch | Domainform, Verschachtelung | Mittel |
| Wegwerf-Domain | Muster id-12345 | Mittel |
| Wegwerf-Domain | Lange Ziffern-Domain | Je nach Länge |
| Wegwerf-Domain | Billige Zone | Gering, nur kombiniert |
| Wegwerf-Domain | Kostenlose Subdomain | Gering, nur kombiniert |
| Kontext | Kette von Kürzungsdiensten | Mittel |
| Kontext | Köderwort | Gering, nur kombiniert |
| Kontext | Herkunft des Links | Mittel |
Wenn Sie bereits geklickt haben
Ein Link zu öffnen infiziert für sich genommen selten etwas — ein aktueller Browser führt keinen beliebigen Code aus einer dargestellten Seite aus. Der Schaden beginnt danach.
- Geben Sie nichts ein. Keine Zugangsdaten, keine TAN, keine Kartendaten. Ziel ist das Formular, nicht der Klick.
- Schließen Sie den Tab und kehren Sie nicht über denselben Link zurück.
- Falls Sie bereits Daten übermittelt haben, ändern Sie das Passwort auf der echten Seite und tippen Sie die Adresse von Hand ein. Bei einer Bank rufen Sie die Nummer auf der Kartenrückseite an.
- Falls eine Datei heruntergeladen wurde, führen Sie sie nicht aus. Löschen Sie sie und prüfen Sie das System.
- Kontrollieren Sie die aktiven Sitzungen des betroffenen Kontos und beenden Sie unbekannte.
Zwei hartnäckige Irrtümer
„Da ist ein Schloss und HTTPS, also ist es sicher." Ein Zertifikat bestätigt, dass die Verbindung verschlüsselt ist, und sonst nichts. Kostenlose Zertifikate werden automatisch in Minuten ausgestellt, und Phishing-Seiten nutzen HTTPS seit Jahren. Das Schloss beschreibt den Kanal, nicht den Inhaber.
„Ein Kurzlink ist schon an sich verdächtig." Das Kürzen von Adressen ist ein gewöhnliches Werkzeug: Es spart Platz, macht Klicks messbar und ersetzt eine unlesbare URL mit einem Dutzend Parametern.
Das Problem ist nicht das Kürzen. Es ist, dass sich die Adresse nicht mit den Augen lesen lässt. Das löst man durch Auflösen des Links, nicht durch Verzicht auf die Technik.
Einen schädlichen Link melden
Führt ein Lix.li-Kurzlink zu Phishing oder schädlichen Inhalten, melden Sie ihn über die Missbrauchsmeldung. Geben Sie den Link an und was sich dahinter geöffnet hat. Verbotene Inhalte sind in den Nutzungsbedingungen aufgeführt, allgemeine Fragen beantwortet die Hilfe.
Das Ziel zu melden lohnt sich unabhängig davon, welcher Dienst den Link erzeugt hat. Wird die Adresse an Google Safe Browsing übermittelt und dort bestätigt, erreicht die Warnung Nutzer von Chrome, Firefox und Safari allgemein — nicht nur diejenigen, die genau diesen Kurzlink erhalten haben.
